上次提到，每个企业都需要一个有效的数据安全策略。而如今，世界各国对数据的重视，以及我们对数据的认识，都在不断提升，数据在生产生活的比重越来越重，所谓数据就是财富：保护数据安全就是就是财富安全。

IBM一篇文章里提到，在过去一年，全球就有64%的公司面临某种形式的网络攻击，每次攻击的平均成本为 424万美元，这是有记录以来的最高水平。

现代企业必须确保其系统能够抵抗未经授权的访问、阻止数据泄露并为所有者和用户保持安全（同时仍可访问）。来自不良行为者的攻击在过去较少发生，但随着当今各种数字工具的出现，如果不加以保护和暴露，您的企业可能会成为目标。

数据安全失败会导致代价高昂的违规行为，这可能会损害公司的底线。探索什么是数据安全以及它如何保护组织和组织客户的存储信息。

什么是数据安全？

数据安全是保护敏感数字信息免遭不必要的访问，无论是面对面的还是在线的。设备位置、安全软件和组织实践都有助于实现良好的数据安全。

需要注意的是，数据安全不同于数据保护（备份或复制存储的数据）和数据隐私（透明和合规地使用客户数据）。对于网络安全团队，数据安全定义了任何保护措施，以限制攻击者、员工或商业竞争对手对收集的信息的疏忽或恶意滥用。

综合战略涉及三个核心原则，称为 CIA 三原则：机密性、完整性和可用性。

保密性

通过限制对受信任和经过验证的方（例如员工或客户）的访问来保护数据。加密和访问控是帮助组织保持机密性的两种常用方法。

完整性

任何存储数据的完整性是指其有效性。确保数据在任何时候都不会被篡改、降级或删除。即使在写入、发送、存储或检索时，也必须如此。数字签名、不可擦除的审计跟踪和定期备份都是组织保护系统数据完整性的技术措施。

可用性

授权用户需要访问受保护的服务并且应该能够修改其记录。此外，整个生态系统中的不同软件应用程序需要访问安全数据才能正确通信和交互。一流的数据安全性可将组织存储的数据保留在手边，而无需以牺牲完整性和机密性为代价。

为什么需要数据安全？

与恢复受损系统的初始成本相比，漏洞造成的损害可能更大。不良行为者可以窃取个人信息进行身份盗窃、勒索和骚扰，从而改变生活。

欧洲已通过《通用数据保护条例》(GDPR)将数据安全纳入法律，对未能保护收集到的数据的任何人处以严厉罚款。GDPR 还意味着要向欧洲实体提供数据服务，第三方必须证明数据安全和数据保护的合规水平。我国则颁布了《数据安全法》《数据安全审查办法》等法律法规，规范数据安全。

数据安全正迅速成为在线保护的最低标准，并为采用者提供其他一些好处。

提高数据完整性

未受破坏的数据使组织能够做出准确的预测和战略业务决策。此外，强大的数据完整性让其和其客户可以高枕无忧。客户知道他们的个人信息受到良好的保护。当组织从一开始就实施数据安全策略时，可以轻松扩展自身业务，从而使自己在市场上比其实体更具优势。

保持完全合规

遵守当地数据安全规则，例如，国外企业在中国则需要遵守中国的相关法律法规，以《网络安全法》《数据安全法》为主；在欧洲的组织则需要遵循GDPR，到了美国加州，加州有消费者隐私法等等，这点遵循入乡随俗，到什么山上唱什么歌了。这样在这些区域内进行交易，才能更加稳妥。当监管机构在新地点执行安全法律时，它还可以让组织建立更加灵活的策略。

建立良好声誉减少损失降低业务成本

对于各国都越来越关注数据安全的市场，保护客户的详细信息有助于提高客户保留率，有助于推动新业务开展。与系统漏洞的成本相比，与适当的数据安全相关的费用是微不足道的。事实上，对于受数据泄露影响的小型企业，60% 的企业永远无法恢复并且经常在一年内倒闭。对于违规的财务影响（包括声誉损害、停机时间、危机管理、诉讼成本和系统迁移）可能会破坏组织业务。

如何实施数据安全策略

一旦决定实施或升级数据安全性，组织应该从哪里开始？

以下四步流程可以帮助任何阶段的任何企业。毕竟，投资于数据安全永远不会太晚。

第 1 步：确定存在风险的内容

查看并列出组织用于开展业务的工具，包括物理设备、软件、数据库（包括数据本身）以及系统中的任何其他软件。

此过程将以系统和数据的可见清单结束。接下来，确定组织在法律上需要保护的方面。确保组织以合规的方式存储所有内容。

然后，根据信息敏感性及其对业务的重要性对组织将保护的数据进行分类。组织不太可能保护每一项资产。但是尝试确保最能发挥作用的事情是值得的。

第 2 步：查看当前的数据安全协议

目前是否有任何数据安全系统？做他们的工作？考虑进行渗透测试以识别现有风险并帮助衡量组织在任何升级后的成功。

请务必检查系统流程是否合规。内部或第三方审计可以突出高风险领域，并让组织解决可能增加风险的潜在文化和教育差距。

物理上位于网络边缘的任何设备（台式机、服务器或平板电脑）都被视为端点，并有遭受攻击的风险，位于异地时更是如此。端点保护是必不可少的，值得投资。

如果可能，最好删除陈旧数据。组织应该安装一个清理程序或软件来删除大量过时、不需要或重复的数据。

第 3 步：组建数据安全团队

考虑建立自己的内部安全团队。较小的企业可能会发现外包是一种更具成本效益的方式来访问专家安全人员。尽可能将内部知识与外部专业知识相结合。

确保组织对员工进行合规性教育，因为即使是最好的系统，人为错误也可能会导致失败。为拥有系统访问权限的每个人（包括领导层和外包人员）提供相同的培训，以减少员工失误引发的问题。

继续谨慎管理对组织系统的访问权限，并删除任何不需要或过时的配置文件。随着工作流程转向混合办公空间，对远程工作的活跃用户进行身份验证。

组建团队后，请制定恢复计划。这应该指导工作人员在发生任何全系统灾难时的遏制方法。

第 4 步：更新数据安全方法

在确定公司范围的安全需求后，组织可以使用多种软件解决方案来实施策略：

·     身份验证和访问管理软件：确保只有授权用户才能访问系统。

·     加密软件：加密会使数据对任何没有正确解密密钥的人无用。因此，它可以帮助组织抵御勒索软件攻击。

·     数据屏蔽软件：数据屏蔽获取敏感数据并在上方应用占位符或屏蔽，以防止滥用（例如，阻止信用卡号码显示给查看者的星号）。

·     风险评估软件：安全服务提供商提供风险评估工具，可帮助组织审核网络和软件安全性。

组织应根据数据安全的框架，制定培训和学习内容，做到安全合规。医疗保健、金融和电信等受行业监管还有其他合规需求。每个行业都有自己的一套监管要求，如果业务涉及到对应行业需要根据其行业要求，确保组织保持合规。

未来安全是一个不断变化的，为了保护数据的未来安全，组织拥有最新的软件将有助于保护业务。如果没有针对数据安全的主动措施，组织的业务和数据信息就会面临风险，需要根据实际情况调整组织的数据暴露情况，然后采取积极有效措施尽可能提高数据安全性。威胁不断增加。采取行动加强安全态势会有所作为。

参考来源：IBM securityintelligence

https://mp.weixin.qq.com/s/Gj3X_7H3xHRBYz1dspec0g